🇰🇷 한글 설명
JupyterLab Git 확장 프로그램 0.54.0 미만 버전에서 발생하는 취약점입니다. 대소문자를 구분하지 않는 파일 시스템을 사용하는 환경에서 인증된 사용자가 URL 경로의 대소문자를 변경하여 제외된 디렉토리에 접근할 수 있습니다.
💡 쉬운 설명
보안을 위해 접근을 막아둔 폴더가 있는데, 파일 이름의 대소문자만 살짝 바꿔서 그 폴더를 몰래 들여다볼 수 있는 문제입니다. 인증된 사용자라면 누구나 이 방법을 통해 금지된 파일에 접근할 수 있습니다.
🇺🇸 원문 (English)
JupyterLab Git is a Git extension for JupyterLab. Prior to 0.54.0, jupyterlab-git uses fnmatch.fnmatchcase() in GitHandler.prepare() in jupyterlab_git/handlers.py to enforce excluded_paths, allowing an authenticated user on a case-insensitive filesystem to vary URL path casing and read excluded directories. This issue is fixed in version 0.54.0.
📍 영향받는 시스템
jupyterlab-git versions prior to 0.54.0
⚔️ 공격 벡터
인증된 사용자가 URL 경로의 대소문자를 변조하여 제외된 경로에 접근하는 방식
🛡️ 대응 방법
jupyterlab-git를 0.54.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.54.0 미만인지 확인하십시오.
pip show jupyterlab-git | grep Version